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Verfahreri in elektronischen Datenverarbeitungssystemen 
zur Fehler analyse- und Beseitigung ' 

Die Erfindung betrif ft ein Verfahren in elektronischen Daten- 
verarbeitungssystemen zur Fehleranalyse- und Beseitigung durch 
Wiederholung der fehlerhaft ausgefOhrten Instruktion* 

Elektronische Datenverarbeitongsanlagen arbeiten aufgrund von 
sporadisch- oder permanent auftretenden Fehlern nicht immer ein- 
wandfreir so daB diese Anlagen bezttglich des Auftretens dieser 
Fehler Qberwacht werden mussen. 

Die Fehler werden im allgemeinen in besonderen Prfif schaltungen, 
die einzelnen Verarbeitungs- und Obertragungsabschnitten zuge- 
ordnet sind, automatisch festgestellt und je nach technischem 
Aufwand auf der Schaltkreisseite, beispielsweise durch die Be- 
nutzung aufwendiger Codes und/oder durch die Verwendung spe- 
zieller Fehler programme auch atttomatisch korrigiert, 

Bei den zuletzt genannten Fehlerprafprograromen werden zur 
Beseitigung sporadischer Fehler Instruktionen, die ein fehler- 
haftes Ergebnis liefern, so oft wiederholt, bis dieser Fehler 
nicht jmehr auftritt. Wenn nach einer vorgebbaren Anzahl solcher 
Wiederholungen der Fehler immer noch vorliegt, dann handelt es 
sich mit groBer Wahrscheinlichkeit nicht mehr um einen spora- 
dischen f sondern um einen permanenten Fehler , der auf einem 
Schaltungsdefekt beruht (vgl. DAS 1 258 635). 
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Die Behandlung der Fehler richtet sich in hohem MaBe nach der 
Struktur eines elektronischen Datenverarbeitungssystems . Fig. 1 
zeigt einen typischen Systemaufbau, wie er vom IBM System / 360 
her bekannt ist, bestehend aus der zentralen Recheneinheit (CPU) 
10, dem Haupspeicher (MS) n, der auch extern erweitert sein kann, 
den typischen Kanalen (CH) 12, deren Schaltkreise und Mikro- 
programm voll in der zentralen Recheneinheit integriert sein 
kOnnen und den Steuerungen (CO I) 13 und 14, die in der zentralen 
Recheneinheit 10 integriert sind und die Steuerungsaufgaben der 
Ein-/Ausgabegerate 15, 16 ubernehmen. Meistens ist jedoch eine 
externe Kanalsteuereinheit (CU) 17 vorhanden, Ober die die Bin-/ 
Ausgabegerate 18, 19 an die Kanalsteuerung 12 angeschlos sen sind. 

in zunehmenden MaBe setzen sich die integrierten AnschluBeinheiten 
CUI, wie beispielsweise auch beim IBM System/370, durch, da sie 
in yieler Hinsicht vorteilhaf ter sind und die Aufgaben und Eigen- 
schaften eines Kanals (12) und einer Steuereinheit (17) in sich ver- 
einigen. 

Die Fehler, um die es sich hier handelt, sind reine Schaltkreis- 
oder Logikfehler, die in den Schaltkreisen und der Logik auftreten 
und durch ebensolche Schaltkreise entdeckt werden. 

Die Begrenzung der Zentraleinheit 1st bei modemen Datenverarbei- 
tungsanlagen nicht mehr der Rechner selbst, wie noch bei den 
IBM Systemen 650 Oder 1401, sondern sie ist welter gefaflt, da in 
die Zentraleinheit zuerst aus Kostengrunden die Kanale und dann 
die vollstSndigen integrierten AnschluBeinheiten 13 oder 14 (in 
Fig. 1) aufgenommen wurden. Dieses bedeutet aber, daB sich bei den 
modemen Datenverarbeitungssystemen in der Zentraleinheit 10 selbst 
Steuereinheiteneigenschaften befinden. 

Fur die Behandlung der Schaltkreisfehler ist also bei den vor- 
stehend genannten bekannten Systemen von esseritieller Bedeutung, 
in welchem Teil des Systems die Fehler auftreten: 



409808/0574 



- 5 - 



2237925 



2. Die Abspeicherung erfolgt auf separ^ten ProtOkollspelchern, wo- 
durch eine vollige Unabhangigkeit und stete Verfugbarkeit 
dieser Speicher fiir Protokollierungsaufgaben sicher gestellt 
ist. 

3. Ferner ist die Durchf iihrung des Protokollierverfahrens unab- 
hSngig vom Betriebssystem, so daB nicht erst Priori taten be- 
ztiglich des Speicherverkehrs gesetzt r untersucht und An- 
forderungen zugeteilt werden miissen. 

4. Keine Platzbelegung im Kundenspeicher . 

5. Ferner ist uber den reinen Protokolllerungsvorgang hinaus es 
mit dem Dienstrechner moglich, auch die Umgebung des Fehler- 
ortes zn uberpriif en - urn auf diese Weise weitere Fehleranalyse- 
daten zu gewinnen. 

Fig. 2 zeigt nun ein im wesentlichen modular aufgebautes modernes 
Datenveraxbeitungs system, in dem die Fehleriibervrachung und -Be- 
seitigung gemaB der Erfindung durchf iihrbar 1st. Das wesentliche 
Merkmal dieses Datenverarbeitungssys terns ist der sogenannte 
"Dienstrechner" (SVP) 20, der Sonderaufgaben zu erfullen hat, wie 
beispielsweise die anfangliche Prograramladung, wobei hier vor- 
wiegend die Mikroprogrammladung der einzelnen Moduln 21 bis 26 , 
von denen jeder in seinem Steuerspeicher ein eigenes Mikropro- 
gramm fiir die Durchf iihrung nur ihra spezifischer Operationen, auf 
die spSter noch nMher eingegangen wird, enthalt. Ferner fiihrt 
dieser Dienstrechner 20 die Fehleranalyse der ausgefallenen 
Zentraleinheit CPU, im Fall der Fig. 2 bestehend aus dem Haupt- 
speicher (MS) 21 , der Hauptspeichersteuereinheit (MSC) 22 und 
der Instruktionsverarbeitungseinheit (IPU) 23 , durch f um ab- 
hMngig von der Fehlerart und der gestorten, zuletzt durchgeftihrten 
Mikroinstruktion der zentralen Einheit, den gezielten Wiederstart 
dieser Einheit durchzufuhren und zu iiberwachen. 

Ferner gehort es zu den Aufgaben des Dienstrechners 20 , eine 
Fehlerprotokollierung fiir das System durchzufuhren r so daB spatere 
Wartungs- und tlberholungsarbeiten mit einem minimalen Zeit- und 
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GerSteaufwand durchgeftihrt werden konnen. % . 

Es ist an dieser Stelle bereits zu sehen, daB die von einem un- 
abhangigen Rechner, wie dem Dienstrechner 20, durchgef tihrte 
Fehleranalyse eine nicht auch noch vora Fehler beeinfluflte Wieder- 
start-Entscheidung treffen kann. 

Bei dem in Fig. 2 dargestellten Datenverarbeitungssystem wird 
zum Zwecke der Instruktionswiederholung im Fehlerfall nur die 
fehlerhafte, d.h. die vom Fehler gestdrte Mikroinstruktion 
wiederholt und nicht, wie es bei den eingangs erwahnten bekannten 
Systemen Ublich ist, das Mikroprogramm am Beginn der fQr die 
laufende Maschineninstriiktion verantwortlichen Interpretations- 
phase gestartet. 

In iiblicher Weise beschSftigen sich alle Instruktionswiederholungs 
methoden, das gilt auch fur die Methoden, die bei einem Datenver- 
arbeitungssystem gemaB Fig. 2 angewendet werden, mit den so- 
genannten zeitweisen Oder sporadischen Fehlern. Dieses sind 
St5rungen, die nicht durch total ausgefallene Stromkreis- 
komponenten verursacht werden, sondern sehr haufig durch aufiere 
Einwirkungen, wie NetzstSrungen und Storungen durch elektrische 
Funken, auf die Schaltkreise des Datenverarbeitungssystems her- 
vorgerufen werden. Auch kSnnen labile Komponenten verantwort- 
lich sein, die unter besonderen Zeit- oder Belastungsverhalt- 
nissen kurzzeitig ausf alien. Diese zeitweisen oder sporadischen . 
Fehler roachen, wie umfangreiche Messungen gezeigt haben, Uber 
50 % der Schaltkreisstorungen aus* 

Permanente Fehler, bedingt durch total ausgefallene Schaltkreis- 
komponenten fuhren zu einer vorher fur ein System oder ein Teil 
eines Datenverarbeitungssystems festgelegten Anzahl von In- 
struktionswiederholungsversuchen, bevor von der Zentraleinheit 
des Systems entschieden wird, daB es sich hier urn einen nicht 
wiederholungsfahigen Systemausfall handelt. 
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In alien Fallen, in denen die Instruktionswiederholung gelingt, 
wird zusStzlich die gesamte Fehlerinf ormation gespeichert,- also 
wie vorher bereits erwahnt protokolliert, um in einer zu einem 
spateren Zeitpunkt durchfuhrbaren Analyse den Fehlerort ftir den 
Wartungstechniker zu lokalisieren. 

■» 

Im folgenden werden die in einem Datenverarbeitungssystem nach 
Fig. 2 voirteilhafter ablaufenden Funktionen im Falle einer Stoning 
der Instruktionsverarbeitungseinheit 23 Oder der Zentraleinheit 
CPU der besseren Obersicht wegen tabellerisch erlautert: 

1. Auf treten der Stdrung. Die Ausfuhrung der von der 
St5rung betrof f enen Mikroinstruktion ftthrt zu 
einem Fehler. 

. ■ - 

2. Der Ausfuhrungsf ehler wird duirch Pruf schaltkreise 
der Instruktionsverarbeitungseinheit 23 erkannt. 

3. Diese Fehlerf eststellung fiihrt zum sofortigen 
Stop der Instruktionsverarbeitungseinheit 23 

und zu einer Fehlermeldung an den Dienstrechner 20 # 

4 # Der Dienstrechner 20 erkennt den Ausfall der In- 

struktionsverarbeitungseinheit 23 anhand der Fehler- 
meldung dieser Einheit. (wahrend dieser Zeit konnen 
die mit "alten" AuftrSgen beschaf tigten Verarbeitungs- 
und Steuermoduln (IOP1 bis IOPn) 24-26, die den Ein-/ 
AusgabegerSten (1/01 bis I/On) 27-29 ihre Daten weiter- 
hin ungestort f d.h. unbeeinf luBt mit der- Haupt- 
speichersteuereinheit 22 au^tauschenj 

5 # Aufgrund der Ausfallerkennung der Instruktionsver- 
arbeitungseinheit 23 ruft der Dienstrechner von 
seinem eigenen Speicher, beispielsweise einem extern 
angeschlossen Plattenspeicher , das Instruktions- 
wiederholungsprogramm ab und iadt es in seinen eigenen 
Steuer speicher . 
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Das Instruktionswiederholungsprogramm fur die In- 
struktionsverarbeituhgseinheit 23 fuhrt dann im eiri- 
zelnen folgende Schritte aus: 

6.1 Sicherstellung der verfiigbaren Fehlerinf ormation 
von der Instruktionsverarbeitungseinheit : Diese 
Information besteht aus: 

6.1.1 Fehlerstart 

6.1.2 Registerinhalten 

6.1.3 zuletzt durchgefUhrter Mikroinstruktion 

6.1.4 Mikroinstruktionsadresse 

6.2 Analyse der Fehlerinf ormation und Entscheidung ttber 
die WiederholungsfShigkeit dieser Fehlerart 

6.3 Instruktionswiederholung der fehlerhaft ausge- 
ftihr ten Mikroinstruktion in der Ins trukt ions ver- 
arbeitungseinheit 23. 

6.4 Start der Instruktionsverarbeitungseinheit 23 

6.5 Beobachtung der Befehlsverarbeitungseinheit be- 
ztiglich einer fehlerfreien Ausftthrung der Mikro- 
instruktionen. 

6.6 Durchftihrung einer bestimmten Anzahl von Instruktions- 
wiederholungsversuchen im Falle eines sofort folgenden 
weitexen Fehlers. 

6.7 Fallen der Entscheidung "Maschinen Stop" wenn alle 
Ins truktionswiederholungsver such e erfolglos ver- 
liefen. 

6.8 Benachrichtigung des Maschinenoperators fiber ein 
geeignetes Anzeigemedium. 
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6.9 Protokollierung der gesamten Fehler information auf 
dem externen Speicher des Dienstrechners 20, unab- 
hangig davon,.ob der Fehler wiederholungsf Mhig ist 
Oder nicht. 

Die Sicherstellung der Fehlerinformation, die sogenannte Fehler- 
protokollierung, dient der spateren FehlerortbestimmUng fur den 
Wartungstechniker, der auch in alien Fallen zeitweiser StSrungen, 
auch unter Umstanden vorbeugend, labile Schaitkreiskomponenten 
austauschen kann, um einem spateren Totalaus fall zuvorzukommen. 

Bei den eingangs genannten bekannten Systemen wird der Protokbl- 
lierungsvorgang iio wesentlichen auf folgende Weise abgewickelt: 

1. Wiederstart der Mikroprogramme am Beg inn der Inter- 
pretationsphase der gerade durchgef uhrten Maschinen- 
instruktion wenn dasSystem mit der MSglichkeit der 
Instruktionswiederholungssteuerung ausgeriistet ist 
Oder falls ein flnsgangs operand bereits verandert wurde 
erfolgt ein "Maschinen Stop" mit mSglicherweise nach- 
f olgendem Wiederstart mit Hilf e des sogenannten Priif- 
punktes im Betriebssystem. 

2. Falls ein Wiederstart erfolgreich war, erfolgt das 
Lesen eines Fehlersicherstellungs- oder Protokollierpro- 
gramms von einem Speicher, in dem im allgemeinen auch das 
Betriebssystem gespeichert ist. 

3. Es folgt dann das Schreiben eines Protokollsatzes mit 
den Angaben iiber die Fehler situation in den unter 2. ge- 
nannten Speicher. 

Wahrend bisher Fehler oder ganz allgemein Storungen der Zentral- 
einheit diskutiert wurden, sollen im folgenden St6rungen der 
Hauptspeichereinheit 22 und der Ein-/Ausgabegeratesteuerungen 
24 bis 26 erlSutert werden. Die Hauptspeichersteuereinheit 22 
weist eine Besonderheit insofern auf, als sie niemals bei einer 
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festgestellten Sterung stoppt. Im Gegensatz zu den ubrigen Ver- 
arbeitungsmoduln' besteht die Hauptspeichersteuereinheit 22 nur 
aus Schaltkreisen, sie besitzt also kein eigenes ladbares Steuer- 
programm und sie 1st deshalb die schnellste Einheit im System 
nach Fig # 2. Das setzt sie auch in die Lage, das Gesamtsystem 
roittels einer Priorit&tsschaltung zu betreuen, Der Verzicht auf 
ein eigenes Steuerprogramm macht die Hauptspeichersteuereinheit 
sehr schnell und programmunabhangig. Wenn in ihren Fehlerpruf- 
kreisen ein Fehler festgestellt wird, dann sorgt sie fur die Ab- 
speicherung der Fehlerkonstellation in Schaltkreisregistern ohne 
seine Verarbeitungsoperation zu stoppen. 

Dieses Merkmal ist deshalb besonders vorteilhaf t, weil der f est- 
gestellte StSrungsfall beispielsweise durch den Dialog mit einer 
bestimmten Steuereinheit 24 bis 26 ftir die Ein-/Ausgabegerate 
27 bis 29 verursacht sein konnte. Wenn nun die Hauptspeicher- 
steuereinheit 22 grundsStzlich bei jeder StSrung gestoppt wurde, 
dann wtirden auch unberechtigterweise andere Ein-/Ausgabegerate 
27 bis 29 , die liber lappt und verzahnt ihre Daten an den Haupt-* 
speicher 21 liefern, von diesem Stop betroffen, Tritt aber eine 
wirkliche Storung des Hauptspeichers 21 oder der Hauptspeicher- 
einheit 22 ein, dann wird diese Storung durch die PrUfschalt- 
kreise entdeckt und in Regis tern gespeichert. Diese Register 
speichern dann nicht nur die StSrungsart selbst, sondern noch zu- 
sStzliche, fttr eine Analyse riotwendige Fehlerdaten. Der Dienst- 
rechner 20, der das Gesamtsystem standig hinsichtlich mSglicher 
Storung en Uberwacht und betreut, stellt diese StSrung des Haupt- 
speichers 21 und/oder der Hauptspeichersteuereinheit 22 fest und 
entnimmt den genannten Registern nun die Fehlerdaten fttr die 
bereits erlSuterte Protokollierung in seinen Speicher. Bei einer 
derartigen Storung wird zunachst keine weitere Analyse durchge- 
ftihrt, urn nicht den Hauptspeicher, der sich in einem Dialog mit 
anderen Ein-/Ausgabegeraten befindet, zu stOren. Der Hauptspeicher 
wird also bei einer StSrung des Gebietes Hauptspeicher-Haupt- 
speichersteuereinheit nicht gestoppt, weil sonst noch laufende 
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Ein-/Ausgabeoperationen die nicht gestSrt sind, .grundlos be- 
eintrachtigt wttrden. 

Die Steuereinheiten 24 bis 26 fttr die Ein-/Ausgabegerate 27 bis 
29/ die ebenfalls zu den Verarbeitungsmoduln des Systems nach 
Fig. 2 gerechnet werden, sind Uberwiegend fur bestimmte Ein-/Aus- 
gabeoperationen eingesetzt, so daB sich eine StSrung immer nur ge- 
zielt in einem bestimmten Bereich auswirkt. Diese Bereiche sind 
der Karten-/Ausgabebereich der Druckerbereich, der Plattenspeicher- 
bereich Oder der Bandspeicherbereich. Eine St8rung dieser Steuer- 
gerate fur die Ein-/Ausgabegerate , wird, wie Fig. 2 zeigt, uber 
das verbindungsleitungsnetz des Dienstrechners 20 von diesem fest- 
gestellt, so daB er nun mit seinem Fehlerprogramm, das kann ein 
Fehleranalyse und/oder ein Fehlerbeseitigungsprogramm sein, in die • 
gestorte Steuereinheit eingreifen kann. Dieser Eingriff sieht vor, 
daB diese gestSrte Steuereinheit voll durchgeprvift und die Fehler- 
daten ebenfalls sichergestellt und protokolliert werden. 

Da wMhrend dieser Zeit weder die Instruktionsverarbeitungseinheit 
23, die Hauptspeichersteuereinheit 22 noch die ubrigen Steuer- 
einheiten ftir die Ein-/Ausgabegerate gestort sind, kann also, mit 
Ausnahme der einen gest6rten Verarbeitungseinheit fUr ein Ein-/Aus- 
gabegerat, ein voiles Programm abgewickelt werden. Das Betriebs- 
system eines in Fig. 2 dargestellten Datenverarbeitungssystems. er- 
fahrt diesen Ausfall entweder, wenn der Dienstrechner 20 nach Durch 
fiihrung der Protokollierung der Fehler information sich an die In- 
struktionsverarbeitungseinheit 23 meldet, um stellvertretend fur 
die gest5rte Steuereinheit diese Mitteilung jetzt an das Betriebs- 
system weiterzuleiten oder wenn sich das Betriebs system selbst 
an die gestorte Steuereinheit wendet. 

wie die bisherigen Ausfuhrungen gezeigt haben, 1st, aufgrund der 
Verlagerung der Aufgaben, die sich im Zusammenhang mit der Fehler- 
prufung und Fehlerbeseitigung in elektronischen Datenverarbeitungs- 
anlagen ergeben, in den sogenannten Dienstrechner 20 die standige 
Verfugbarkeit und Fehlerf reiheit dieses Rechners von essentieller 
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Bedeutung # Da dieser Dienstrechner im Vergleich zu den Zentral- 
einheiten der eingangs genannten bekannten Datenverarbeitungs- 
systeme nur sehr wenig Schaltkreise besitzt, die dariiber hinaus 
in einem Omfang intensiver gepriift und iiberwacht werden, wie das 
bei GroBsystemen aus Kostengrunden nicht mSglich 1st, liegt seine 
Zuverlassigkeit weit iiber den bisher bekannten Systemen. 

Zum anderen wird der Dienstrechner schon wahrend des Ladevorgangs 
intensiv uberpriift. Bei dem in Pig. 2 dargesteilten Datenver- 
arbeitungssystem dient, wie bereits erwShnt wurde, der Dienst- 
rechner nach dem Einschalten des Systems zur Durctif tihrung des 
Ladeprozesses der intelligenten Verarbeitungsmoduln, wobei er 
selbst bereits sehr intensiv gepriift wird. Da sein Schaltkreis- 
umfang relativ gering ist, sind auch seine StSrungen viel leichter 
lokalisierbar, als bei Systemen mit komplizierten Schaltkreis- 
strukturen. 

St6rungen an und in den Ein-/Ausgabegeraten werden von A diesen 
selbst Oder in den Schaltkreisen oder Mikroprogrammroutinen in 
der zugfeordneten Steuereinheit erkannt. 

Die Fehlermeldung an den Dienstrechner wird ebenfalls vom Mikro- 
programm der Steuereinheit durchgef (ihrt r die dem gestSrten Ein-/ 
Ausgabegerat zugeordnet ist. Alle iiber dem Ein-/AusgabegerSte- 
fehler verfttgbaren Fehlefdaten werden in einem Dialog zwischen 
der Steuereinheit und dera r Dienstrechner dem letzteren iiber- 
mittelt, bevor das Betriebssystem von der Steuereinheit iiber die 
Fehlersituation informiert wird. 

Die Fehlerdaten des Ein-/Ausgabegerates werden in gleicher 
Weise, wie die Fehlerdaten der SchaltkreisstOrungen in den 
Speicher des Fehlerrechners protokolliert, um einer spSteren 
Fehlerlokalisierung zu dienen. 
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PA TEN TAN S P R tf CH E 

Verfahren in elektronischen Datenverarbeitungssystemen 
zur Fehleranalyse und-Beseitigung durch Wiederholung 
der fehlerhaft ausgefuhrten Instruktion, dadurch ge- 
kennzeichnet, da8 mittels eines an das System, be- 
stehend aus zentraler Steuerung (CPU; Fig. 2) und Ver- 
arbeitungsmoduln (I0P1 bis lOPn) fur periphere Gerate 
(I/Ol bis I/On) , angeschlossenen Dienstrechners (SVP) , 
der die pruf schaltungen (z.B. Paritatspruf schaltungen) 
des Systems abf ragt, im Stdrungsf all aus der vorliegenden 
Fehlerinformation eine Fehleranalyse der ausgefallenen 
Einheit (21 bis 29) durchgefuhrt und abhangig von der 
Fehlerart und der gestSrten, zuletzt durchgefuhrten 
Mikroinstruktion fur die instruktionswiederholung der 
gezielte Wiederstart dieser Einheit durchgefuhrt und 
uberwacht wird. 

Verfahren nach Anspruch 1, dadurch gekennzeichnet, daB 
vor dem Wiederstart der gestorten Einheit durch die 
Fehleranalyse des Dienstrechners (SVP) die Wiederholungs- 
fahigkeit der fehlerhaft ausgefiihrten Mikroinstruktion 
festgestellt wird. • 

Verfahren nach Anspruch 1 und/oder 2, dadurch gekenn- 
zeichnet/ daB der Wiederstart der fehlerhaft ausgefuhrten 
Mikroinstruktion am Beginn der Interpretationsphase er- 
folgt. 

Verfahren nach einem oder mehreren der Anspriiche 1 bis 3, 
dadurch gekennzeichnet, daB die Fehlerprotokollierung der 
Fehlerinformation fur alle Einheiten (21 bis 29) vom 
Dienstrechner (SVP) gesteuert und die Fehlerinformation 
in einem, dem Dienstrechner zugeordneten Speicher auf- 
bewahrt wird. 
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Verfahren nach einem Oder mehreren der Anspriiche 1 bis 4, 
dadurch gekennzeichnet, daB der Dienstrechner (SVP) fiir 
die ausgefallerie Einheit (21 bis 29) die Storungsmeldung 
an das Betriebssystem des Datenverarbeitungssystems vor- 
nimmt. 

Verfahren nach einem oder mehreren der Anspriiche 1 bis 5, 
dadurch gekennzeichnet, daB der Dienstrechner (SVP) die 
Fehleranalyse nicht auf die unmittelbare Fehlermeldung 
(z.B, eines PrUf schaltkreises) abstiitzt # sondern auch in 
die Fehlerinf ormation die Zustande der bertachbarten 
Schaltungen (z.B. Register, die Ausgangs information ent- 
halten) aufnimmt. 
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